QR-Code-Betrug: So schützen Sie sich vor Quishing 2026

QR-Codes sind aus dem Alltag nicht mehr wegzudenken – ob beim Bezahlen im Restaurant, beim Login in Online-Dienste oder auf Werbeplakaten. Doch genau diese Allgegenwart machen sich Kriminelle zunutze: QR-Code-Betrug, auch bekannt als „Quishing“, zählt laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) zu den am schnellsten wachsenden Phishing-Varianten. Dieser Leitfaden erklärt, wie QR-Code-Betrug funktioniert, welche Maschen aktuell im Umlauf sind und wie Sie sich wirksam schützen können.

Was ist QR-Code-Betrug (Quishing)?

QR-Code-Betrug bezeichnet eine Form des Phishings, bei der Kriminelle manipulierte QR-Codes einsetzen, um Opfer auf gefälschte Webseiten zu locken, Schadsoftware zu installieren oder Zahlungen umzuleiten. Der Begriff „Quishing“ setzt sich aus „QR-Code“ und „Phishing“ zusammen.

Anders als klassische Phishing-Mails, bei denen ein verdächtiger Link direkt sichtbar ist, verbirgt sich hinter einem QR-Code eine undurchsichtige Grafik. Erst nach dem Scannen offenbart sich die Ziel-URL – oft so kurz oder getarnt, dass selbst aufmerksame Nutzer die Täuschung nicht erkennen.

Das Gefährliche daran: QR-Codes gelten als vertrauenswürdig. Sie finden sich auf offiziellen Dokumenten, Rechnungen, in Restaurants und sogar auf Behördenbriefen. Diese Vertrauensbasis nutzen Betrüger systematisch aus.

Wie funktioniert QR-Code-Betrug im Detail?

Der Ablauf einer typischen Quishing-Attacke lässt sich in vier Schritten nachvollziehen:

Erstellung des gefälschten Codes: Der Angreifer generiert einen QR-Code, der auf eine betrügerische Webseite verweist. Diese Seite imitiert häufig bekannte Marken wie Banken, Paketdienste oder Behörden.
Platzierung oder Versand: Der Code wird physisch über echte Codes geklebt (z. B. auf Parkautomaten, Ladesäulen oder Speisekarten) oder digital per E-Mail, SMS, Brief oder in sozialen Medien verbreitet.
Scannen durch das Opfer: Das Opfer scannt den Code in gutem Glauben und wird auf die manipulierte Seite weitergeleitet.
Datendiebstahl oder Zahlung: Auf der Seite werden Login-Daten, Kreditkarteninformationen oder TAN-Codes abgefragt. Alternativ wird eine Zahlung auf ein betrügerisches Konto ausgelöst oder eine schädliche App installiert.

Die häufigsten QR-Code-Betrugsmaschen 2026

1. Falsche QR-Codes auf Parkautomaten

In vielen deutschen Städten wurden QR-Codes an Parkautomaten entdeckt, die über die originalen Codes geklebt waren. Statt die offizielle Parking-App zu öffnen, landeten Nutzer auf gefälschten Zahlungsseiten und gaben ihre Kreditkartendaten direkt an Betrüger weiter.

2. Quishing per E-Mail

Angreifer versenden E-Mails mit angeblichen Lieferbenachrichtigungen, Rechnungen oder Sicherheitsmeldungen. Statt eines Links enthält die Mail einen QR-Code – oft mit der Begründung, dass dieser „sicherer“ sei. Da viele E-Mail-Filter QR-Codes als Bilder behandeln und nicht analysieren, umgehen diese Nachrichten herkömmliche Schutzmechanismen.

3. Gefälschte Spendenaufrufe

Besonders nach Naturkatastrophen oder in der Weihnachtszeit tauchen Flyer mit QR-Codes auf, die angeblich zu Spenden auffordern. Das Geld fliesst jedoch nicht an Hilfsorganisationen, sondern direkt an Kriminelle.

4. Manipulierte Restaurant-Speisekarten

Statt zur digitalen Speisekarte führt der überklebte Code zu einer Phishing-Seite, die nach Login-Daten oder Kreditkarteninformationen fragt – oft getarnt als „WLAN-Zugang“ oder „Treueprogramm“.

5. Betrug bei E-Ladesäulen

Mit dem Boom der Elektromobilität sind auch Ladesäulen zum Ziel geworden. Gefälschte QR-Codes leiten auf Bezahlseiten um, die den originalen täuschend ähnlich sehen.

6. QR-Codes in Briefen angeblicher Behörden

Besonders perfide sind Briefe, die sich als Schreiben von Banken, dem Finanzamt oder der Polizei ausgeben. Der QR-Code soll angeblich zur schnellen Verifikation dienen, führt aber zu Phishing-Seiten.

Warum QR-Code-Betrug so erfolgreich ist

Mehrere Faktoren begünstigen die Verbreitung von Quishing:

Keine sichtbare URL: Der eigentliche Link ist für das menschliche Auge nicht lesbar.
Vertrauen in die Technologie: QR-Codes gelten als modern und sicher.
Mobile Nutzung: Auf Smartphones sind URLs oft gekürzt dargestellt, Sicherheitsmerkmale schwerer erkennbar.
Umgehung von Spam-Filtern: Als Bild eingebettete Codes werden von vielen E-Mail-Scannern nicht erkannt.
Zeitdruck: Viele Betrugsmaschen suggerieren Dringlichkeit („Konto wird gesperrt“, „Paket wird zurückgesendet“).

10 wirksame Schutzmassnahmen gegen QR-Code-Betrug

Mit folgenden Massnahmen reduzieren Sie das Risiko, Opfer eines Quishing-Angriffs zu werden, deutlich:

Vorschau der URL aktivieren: Nutzen Sie einen QR-Scanner, der die Ziel-URL vor dem Öffnen anzeigt. Die meisten modernen Smartphone-Kameras bieten diese Funktion standardmässig.
URL kritisch prüfen: Achten Sie auf Tippfehler, ungewöhnliche Domains (z. B. „paypaI-login.com“ mit grossem „i“ statt „l“) oder verdächtige Endungen (.xyz, .top).
Keine sensiblen Daten eingeben: Geben Sie nach dem Scannen eines QR-Codes niemals Passwörter, TANs oder Kreditkartendaten ein, ohne die Seite doppelt zu verifizieren.
Offizielle Apps bevorzugen: Für Bezahldienste, Banking und Behörden immer die offiziellen Apps aus dem App Store oder Google Play nutzen – nicht über QR-Codes installieren.
Physische Codes auf Manipulation prüfen: Achten Sie auf aufgeklebte Sticker über originalen Codes, besonders an Parkautomaten, Ladesäulen und in Restaurants.
Zwei-Faktor-Authentifizierung aktivieren: Selbst wenn Zugangsdaten gestohlen werden, bietet 2FA einen zusätzlichen Schutzwall.
E-Mails mit QR-Codes misstrauen: Seriöse Unternehmen versenden selten QR-Codes per E-Mail. Im Zweifel die Organisation direkt kontaktieren.
Smartphone-Sicherheit aktuell halten: Regelmässige Updates schliessen Sicherheitslücken, über die manipulierte Webseiten Schaden anrichten könnten.
Mobile Sicherheitssoftware nutzen: Lösungen mit Phishing-Schutz warnen vor bekannten betrügerischen Webseiten.
Verdachtsfälle melden: Betrügerische QR-Codes und Phishing-Versuche an die Verbraucherzentrale, das BSI oder die Polizei melden.

Vergleich: Sichere vs. unsichere QR-Codes

Merkmal	Sicherer QR-Code	Verdächtiger QR-Code
Herkunft	Offizielle Quelle (Webseite, App, Rechnung des Unternehmens)	E-Mail unbekannter Absender, überklebter Sticker, Werbeflyer
Ziel-URL	Erkennbare, offizielle Domain (z. B. firma.de)	Kryptische oder getarnte URL, Tippfehler, unbekannte Domainendung
Kontext	Erwartete Aktion (z. B. Login nach manueller Anforderung)	Dringlichkeit, Drohung mit Konsequenzen, unerwartete Zahlungsaufforderung
Design	Sauber integriert in offizielles Material	Aufgeklebt, schief, abweichendes Design
Datenanforderung	Minimal, zweckgebunden	Umfangreiche sensible Daten (Passwort, TAN, Kreditkarte)

Welche QR-Code-Scanner sind sicher?

Die Wahl des richtigen Scanners trägt erheblich zur Sicherheit bei. Hier eine Übersicht:

Scanner	URL-Vorschau	Phishing-Warnung	Empfehlung
iOS Kamera (nativ)	Ja	Teilweise	Sehr empfehlenswert
Google Lens / Android Kamera	Ja	Ja (via Safe Browsing)	Sehr empfehlenswert
Drittanbieter-Apps	Variiert	Variiert	Nur geprüfte Apps nutzen
Browser-basierte Scanner	Variiert	Browser-abhängig	Mit Phishing-Schutz des Browsers kombinieren

Tipp: Vermeiden Sie Scanner mit vielen Werbeeinblendungen oder umfangreichen Berechtigungsanfragen – diese sammeln oft selbst Daten.

QR-Code-Betrug: Rechtliche Lage in Deutschland

Quishing erfüllt in Deutschland in der Regel mehrere Straftatbestände: Computerbetrug (§ 263a StGB), Ausspähen von Daten (§ 202a StGB) sowie Urkundenfälschung bei täuschend echten Webseiten. Zudem greifen bei Datendiebstahl die Vorgaben der DSGVO.

Betroffene sollten:

Umgehend ihre Bank informieren und Karten sperren lassen
Strafanzeige bei der Polizei erstatten (auch online möglich)
Den Vorfall an die Verbraucherzentrale melden
Bei Datenschutzverletzungen die zuständige Datenschutzbehörde kontaktieren
Passwörter aller betroffenen Konten ändern

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) stellt zudem Informationsmaterial zur Verfügung, wie Betroffene ihre Rechte durchsetzen können.

Besondere Risiken für Unternehmen

Unternehmen sind nicht nur als Opfer, sondern auch als Zielscheibe von Quishing-Angriffen betroffen:

Angriffe auf Mitarbeiter

Kriminelle versenden gezielt E-Mails mit QR-Codes an Mitarbeiter, etwa getarnt als Microsoft-365-Anmeldung oder HR-Mitteilung. Da mobile Geräte oft weniger strenge Sicherheitsrichtlinien haben als Firmen-PCs, sind sie bevorzugte Angriffsziele.

Markenmissbrauch

Betrüger nutzen bekannte Markenlogos neben gefälschten QR-Codes, um Vertrauen zu erzeugen. Dies schädigt die Reputation der betroffenen Unternehmen.

Schutzmassnahmen für Unternehmen

Regelmässige Awareness-Schulungen zum Thema Quishing
Mobile Device Management (MDM) mit Phishing-Schutz
Nutzung verifizierbarer Kurz-URLs mit Analyse-Funktion wie Lunyb, um Weiterleitungsziele transparent zu machen und Missbrauch zu erkennen
Simulation von Quishing-Angriffen zur Mitarbeiterschulung
Klare interne Richtlinien zum Umgang mit QR-Codes

Weitere Informationen zum Thema finden Sie in unserem Leitfaden zur Cybersicherheit 2026.

QR-Codes sicher selbst erstellen

Wer QR-Codes professionell einsetzt – etwa im Marketing oder für Veranstaltungen – sollte auf vertrauenswürdige Tools setzen. Dynamische QR-Codes mit nachvollziehbaren Kurz-URLs sind klassischen statischen Codes vorzuziehen, da sich das Ziel bei Bedarf anpassen und Zugriffe analysieren lassen. Eine detaillierte Anleitung finden Sie in unserem Artikel QR Code kostenlos erstellen.

Dienste wie Lunyb bieten dabei nicht nur die Erstellung sicherer Kurz-URLs, sondern auch Transparenz über Weiterleitungen – ein wichtiger Baustein zur Prävention von QR-Code-Betrug im Unternehmensumfeld.

Was tun, wenn Sie bereits Opfer wurden?

Bei einem Verdacht auf Quishing-Betrug sollten Sie strukturiert vorgehen:

Verbindung trennen: Smartphone sofort vom Internet trennen, um weitere Datenübertragung zu stoppen.
Bank informieren: Bei Zahlungsdaten umgehend Karten sperren (Sperr-Notruf 116 116).
Passwörter ändern: Alle möglicherweise betroffenen Zugänge mit neuen, starken Passwörtern versehen.
Gerät prüfen: Smartphone mit aktueller Sicherheitssoftware scannen, verdächtige Apps deinstallieren.
Anzeige erstatten: Bei der Polizei (auch online) sowie bei der Verbraucherzentrale melden.
Konten überwachen: In den folgenden Wochen Bankkonten, Kreditkarten und E-Mail-Konten auf verdächtige Aktivitäten prüfen.
Datenbroker informieren: Prüfen Sie, ob Ihre Daten weiterverkauft wurden. Mehr dazu im Artikel Datenbroker: Wer verkauft Ihre Daten?

Ausblick: QR-Code-Betrug 2026 und darüber hinaus

Mit der weiteren Digitalisierung werden QR-Codes an Bedeutung gewinnen – ebenso wie die damit verbundenen Risiken. Experten erwarten, dass KI-generierte Phishing-Seiten noch überzeugender werden und automatisierte Angriffe zunehmen. Gleichzeitig arbeiten Browser-Hersteller und Betriebssystementwickler an verbesserten Warnmechanismen.

Für den Einzelnen bleibt die wichtigste Verteidigungslinie das kritische Hinterfragen: Nicht jeder QR-Code verdient Vertrauen – auch wenn er noch so unauffällig wirkt. Weitere Tipps zum Schutz Ihrer digitalen Identität finden Sie in unserem Leitfaden zur Online-Privatsphäre.

Fazit

QR-Code-Betrug ist eine ernstzunehmende Bedrohung, die sich mit dem richtigen Wissen und einfachen Verhaltensregeln jedoch wirksam eindämmen lässt. Prüfen Sie Ziel-URLs vor dem Öffnen, misstrauen Sie unerwarteten Codes und geben Sie niemals sensible Daten auf Seiten ein, zu denen Sie über einen QR-Code gelangt sind. Für Unternehmen gilt zusätzlich: Investieren Sie in Awareness-Schulungen und transparente URL-Lösungen. So wird aus der nützlichen Technologie QR-Code kein Einfallstor für Kriminelle.

Häufig gestellte Fragen (FAQ)

Kann ein QR-Code mein Smartphone mit Viren infizieren?

Ein QR-Code selbst kann keine Schadsoftware enthalten – er ist lediglich ein codierter Link. Allerdings kann der Scan auf eine Webseite führen, die Sicherheitslücken ausnutzt oder zur Installation schädlicher Apps auffordert. Halten Sie Ihr Betriebssystem aktuell und installieren Sie Apps ausschliesslich aus offiziellen Stores.

Wie erkenne ich einen manipulierten QR-Code an einem Parkautomaten?

Achten Sie auf aufgeklebte Sticker, die über dem originalen Code sitzen – oft erkennbar an leicht erhabenen Kanten, abweichendem Papiermaterial oder einer nicht perfekt sitzenden Ausrichtung. Im Zweifel verzichten Sie auf das Scannen und nutzen Sie die offizielle App des Parkbetreibers oder bezahlen mit Münzen.

Sind QR-Codes auf offiziellen Rechnungen sicher?

Grundsätzlich ja – insbesondere der genormte „GiroCode“ auf Rechnungen deutscher Unternehmen gilt als sicher. Dennoch sollten Sie vor dem Bezahlen den im Banking-App angezeigten Empfänger und Betrag genau prüfen, da auch Rechnungen gefälscht sein können.

Welche QR-Code-Scanner-App ist am sichersten?

Die nativen Kamera-Apps von iOS und Android bieten in der Regel den besten Schutz, da sie keine zusätzlichen Berechtigungen benötigen und Phishing-Warnsysteme wie Google Safe Browsing integrieren. Drittanbieter-Apps sind nur dann empfehlenswert, wenn sie von vertrauenswürdigen Entwicklern stammen und minimale Berechtigungen anfordern.

Was muss ich tun, wenn ich bereits auf einen Betrugs-QR-Code hereingefallen bin?

Trennen Sie das Gerät sofort vom Internet, sperren Sie betroffene Karten über 116 116, ändern Sie alle möglicherweise kompromittierten Passwörter und erstatten Sie Anzeige bei der Polizei. Melden Sie den Vorfall zusätzlich an die Verbraucherzentrale und beobachten Sie Ihre Konten in den folgenden Wochen besonders aufmerksam auf verdächtige Transaktionen.